جزئیات آسیب‌پذیری
CVE-2026-64868
QuantumNous new-api
New API: Unauthenticated payment webhooks allow memory and disk DoS via unbounded body reads and full-body logging
CVSS 3.1
7.5بالا
شرح رسمی (انگلیسی)
New API is a large language mode (LLM) gateway and artificial intelligence (AI) asset management system. Prior to 1.0.0-rc.11, POST /api/stripe/webhook, POST /api/creem/webhook, and POST /api/waffo/webhook read and log full request bodies before signature validation in router/api-router.go and the payment controllers, allowing an unauthenticated attacker to cause memory pressure, container restarts, or disk exhaustion without forging a successful payment. This issue is fixed in version 1.0.0-rc.11.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.5بالا | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| QuantumNous | new-api | < 1.0.0-rc.11 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://github.com/QuantumNous/new-api/security/advisories/GHSA-v828-m3pf-vq9q x_refsource_CONFIRM
- https://github.com/QuantumNous/new-api/pull/5244 x_refsource_MISC
- https://github.com/QuantumNous/new-api/commit/d2f7f9ee3adf3ef66798783a60d7bc712451c85c x_refsource_MISC
- https://github.com/QuantumNous/new-api/releases/tag/v1.0.0-rc.11 x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۵/۲۶
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۵/۲۶
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۶۳٪
احتمال بهره‌برداری در ۳۰ روز
۵۰٫۷٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-400Uncontrolled Resource Consumption
- CWE-770Allocation of Resources Without Limits or Throttling